安全功能 AI 加速走查提纲
你是安全功能交付顾问。只根据用户粘贴的栈与边界写提纲，不要编造已节省的小时数。
功能：{{feature}}
现有鉴权栈：{{auth_stack}}
不可盲合文件：{{no_auto_merge}}
输出 Markdown：
1. 应先问模型的架构问题（存储/会话/恢复路径）
2. 适合草稿 vs 必须手写的步骤表
3. 线审检查表（密钥、时钟窗、迁移、审计日志）
4. 人必须保留的合入门禁
禁止声称「必达 2×」；禁止建议无人值守合并 TOTP/鉴权。← 返回用例列表
uaslim：CitizenApp 加 TOTP 2FA——Cursor+Claude 约 9h→4.25h，诚实约 2× 不是 3×
个人；披露单功能预估无 AI ~9h、有 AI ~4.25h（约省 4.75h，约 2×）；架构决策 2h→20min、前端 3h→1.5h，鉴权流手写省 0；不代你无人值守合入安全逻辑。
场景说明
面向要把「具体功能墙钟」从口号拆成可复盘步骤的独立开发者：把「Claude 先定架构 → Cursor 起草 → 人审安全/迁移」写成门禁，区别于通宵作品集与单会话换框架。
案例叙事
01他们做了什么
作者在 DEV《My Cursor + Claude Engineering Workflow: A Real Project Walkthrough》（JSON-LD datePublished 2026-05-22T14:31:35Z → 2026-05-22）写明：讨厌空泛「用 AI 写样板」与挑好 demo，于是把 CitizenApp 的 TOTP 2FA（含 10 条恢复码）从头走到尾，标出 Claude 与 Cursor 各自省时与失灵处。
流程是先用 Claude 钉死密钥加密、pending JWT 与恢复码哈希，再用 Cursor 起草模型/服务/测与前端，鉴权合流与安全边角仍人手写并回审；最后给出无 AI ~9h 与有 AI ~4.25h 的对照表，强调架构与安全敏感段几乎不加速。
本场景据此输出「功能墙钟走查」提纲。禁止把约 2× 写成任意功能 SLA，或建议跳过对 TOTP/迁移的人工线审。
02实际效果
- 源披露无 AI 合计约 9h、有 AI 约 4.25h（约省 4.75h，约 2×）、架构 2h→20min、前端 3h→1.5h、鉴权流节省 0 等作者口径；属单功能个人窗口，不可外推为你的倍速、缺陷率或「安全功能必半工时」。
- 能把「AI 写样板口号」与「分工具分工 + 永不盲合清单」拆开。
- 为 window/时钟漂移、pending token 与恢复码短路等「看起来对」的补丁提供提问清单。
03值得知道
- 文为作者单功能走查；CitizenApp 全仓与配置未整包公开。
- 表内「Without AI」为作者估计，非对照实验。
- 上面写的是个人工程实践帖，不是 Anthropic/Cursor 官文简报。
04可复制提示词
TOTP/恢复码可疑实现复盘
代理生成的 2FA 代码「能跑」但你不放心。请写复盘提纲。
现象：{{symptom}}
输出：
1. 更像时钟窗、明文恢复码、pending token，还是短路校验
2. 最小修补
3. 下次验收标准
4. 人工确认清单
不要伪造「更多规则文件等于更安全 2FA」。怎么做
- 粘贴目标功能边界（如 TOTP/恢复码）、现有鉴权栈与「哪些文件绝不可盲合」清单
- Agent 按实践帖输出：架构问答提纲、Cursor 起草顺序、以及人必须线审的安全/迁移检查表
- 人工保留 pending token 与密钥/恢复码路径；Agent 不代你声称「任意功能必 2×」
实用提示
- 源帖（JSON-LD datePublished 2026-05-22T14:31:35Z → 2026-05-22）：作者 uaslimcreate 以 CitizenApp 加 Google Authenticator 兼容 TOTP + 10 条一次性恢复码为完整走查——触鉴权、用户模型、会话、邮件与前端至少 4 处。无 AI 估 2–3 天；实作约 6 小时墙钟。分步：①Claude 先审架构（Fernet 加密存 secret、短时 pending 2FA JWT、恢复码 SHA-256 哈希），约 20 分钟；②Cursor Agent 写 SQLAlchemy 模型与 Alembic 迁移（补 timezone=True）；③TOTP 服务约 90% 可用，作者改 window=1 防时钟漂移；④登录/pending 校验流手写后交 Claude 安全审；⑤Cursor 生成 7 测、修 2 处；⑥前端约 90 分钟。诚实表：架构 2h→20min、DB 30→10、TOTP 服务 1h→25min、鉴权流 1.5h→1.5h（0）、测 1h→30min、前端 3h→1.5h，合计 ~9h→~4.25h（约省 4.75h，约 2× 非 3×）。明确永不盲合：安全敏感逻辑、DB 迁移、鉴权流、错误处理。
- 与 reet-batra-tokenmaxxing-overnight-portfolio / jonesrussell-laravel-waaseyaa-one-session 不同：本条是单功能安全走查与诚实倍速表，不是通宵 /goal 作品集或整框单会话迁移